CVE-2014-8708
KrytyczneStreszczenie
Pluck CMS w wersji 4.7.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez funkcję formularza bloga.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do przejęcia kontroli nad systemem, co stwarza poważne zagrożenie dla bezpieczeństwa danych organizacji.
Rekomendacja
Zaleca się aktualizację Pluck CMS do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie systemu pod kątem nieautoryzowanych działań.
Inne podatności w Pluck CMS 4.7.2
Zobacz wszystkie- CVE-2026-70376Krytyczne
Panel administracyjny Pluck CMS opiera ochronę CSRF wyłącznie na porównaniu nagłówka Referer, bez użycia tokenów anty-CSRF dla żądań. Oznacza to, że atakujący może potencjalnie wykonywać nieautoryzowane akcje administracyjne, jeśli uda mu się obejść sprawdzenie nagłówka Referer.
- CVE-2026-54416Wysokie
Pluck CMS do wersji 4.7.21 ogranicza niebezpieczne uploady plików w funkcji zarządzania plikami w panelu administracyjnym, używając stałej czarnej listy rozszerzeń w pliku data/inc/files.php. Lista obejmuje m.in. .php, .phtml, .asp, .cgi i .phar, a sprawdzane są tylko ostatnie 4-5 znaków nazwy pliku.
- CVE-2026-16205Niskie
W Pluck CMS do wersji 4.7.21 wykryto podatność na atak XSS w module Albums. Funkcja htmlspecialchars_decode w pliku data/modules/albums/albums.admin.php nieprawidłowo przetwarza argument Info, co umożliwia zdalne wstrzyknięcie złośliwego skryptu. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie.
- CVE-2025-46099Wysokie
W Pluck CMS 4.7.20-dev uwierzytelniony atakujący może przesłać lub utworzyć spreparowany plik PHP w katalogu modułu albumów, a następnie uzyskać do niego dostęp przez logikę routingu modułu w albums.site.php, co prowadzi do wykonania dowolnych poleceń za pomocą parametru GET.
Oryginalny opis (angielski, źródło NVD)
Pluck CMS 4.7.2 allows remote attackers to execute arbitrary code via the blog form feature.